Zeroplex 生活隨筆

一個女生說「身高沒有 180 不叫男人」，引發 BBS 上熱烈的砲轟。強者我同學回了一句「沒有 C 罩杯不叫女人」……. XD

唉呀，現代人為什麼一點雅量都沒有？

這是我第一次遇到吃感冒藥，越吃感冒越嚴重的。後來換了一間診所，現在有好一點了，多謝大家這幾天的關心。

平常睡覺的時候有時會盜汗，但感冒這幾天特別嚴重，常常睡二個小時醒來衣服就全濕，就這樣晚上要起來換好幾件衣服，還很怕吹到風感冒加重….。

不知道要寫什麼了，吃宵夜睡覺去～～

昨天去影印又中標，這個病毒還蠻有趣的，作法和以前的病毒不太一樣，讓我剛開始被耍了一圈。

Name：Notepad.exe
Size：1514482 bytes
MD5：9cbddaab35183dea768d5dac8a212b5a
SHA1：20ea31c8a3954600ae6e30a9d88c58097ec87bd1
BitDefender：Trojan.Spy.Agent.NXS
McAfee：W32/Autorun.worm.dq.gen
Microsoft：TrojanDropper:Win32/Regul.B

中毒後隨身跌除了會有 autotrun.inf 和 Notepad.exe 以外，還會將所有隨身碟中的資料夾隱藏，並建立與資料夾相同名稱的執行檔，執行檔的圖示和資料夾一模一樣(也可能不是檔案，而是透過 autorun.inf 改的，因為 attrib 掃不到)，若沒有設定顯示附檔名是看不出差別的。

Notepad.exe 會在 system32 建立一些檔案：

C:WINDOWSsystem3210A216com.run
C:WINDOWSsystem3210A216dp1.fne
C:WINDOWSsystem3210A216eAPI.fne
C:WINDOWSsystem3210A216internet.fne
C:WINDOWSsystem3210A216krnln.fnr
C:WINDOWSsystem3210A216RegEx.fnr
C:WINDOWSsystem3210A216shell.fne
C:WINDOWSsystem3210A216spec.fne
C:WINDOWSsystem3236D0F12ADE6B.EXE
C:WINDOWSsystem32B55985f10.inf
C:WINDOWSsystem32B5598516eb.EDT
C:WINDOWSsystem32B5598516eb.inf

紅色標示的是中毒過後主要的病毒執行檔，病毒名稱可能是亂數產生，會在開機時自動執行。

解毒時先開啟工作管理員，將上述紅色的執行檔強制中斷，再開啟 msconfig 取消開機自動執行 (下圖)。

最後進入 system32 資料夾，將三個由病毒建立的資料夾刪除。三個資料夾都設定隱藏，而且名稱都是亂數，可以參考上面的列表找到病毒所在的資料夾。

無法刪除檔案或資料夾，可以使用 attrib 來重新設定檔案屬性，如果想偷懶可以使用 EFix 來解毒。

ps. 這次 KAV 還沒有病毒碼耶，難道病毒是 M$ 和 MacAfee 寫的嗎？ XD